企業サイトに掲載した社員インタビュー。採用動画に映ったオフィスの風景。SNSで紹介した新しいシステム。
どれも、会社の魅力や取り組みを伝えるための大切な情報です。しかし、それぞれは何気ない情報でも、複数を組み合わせることで、社内の担当者や取引先、使用しているシステムなどが見えてくる場合があります。
こうした「誰でも入手できる公開情報」を集め、分析して役立てる手法が OSINT（オシント） です。
OSINTは、企業のリスク管理や調査、報道などにも使われる有用な手法です。一方で、攻撃者が標的を調べたり、社員になりすましたりするために、公開情報を悪用することもあります。
この記事では、海外のサイバー攻撃事例も交えながら、OSINTの基本と、企業が公開情報と上手に付き合うための考え方を解説します。
この記事でわかること
- OSINTとは何か、普通のインターネット検索と何が違うのか
- 公開情報がサイバー攻撃にどう悪用されるのか
- 海外の企業で起きた攻撃事例と、そこから学べること
- 日本企業の情報漏えいとOSINTの関係
- Webサイト・YouTube・SNSを運用する企業が今日からできる対策
OSINTとは？公開情報を「意思決定に役立つ情報」に変えること
OSINTは、Open Source Intelligence（オープンソース・インテリジェンス）の略です。
ここでいう「オープンソース」は、プログラムのソースコードが公開されている「オープンソースソフトウェア」のことだけを指すわけではありません。一般に公開され、適法に入手できる情報を収集し、目的に沿って分析することで、判断に役立てる活動を指します。
対象となる情報には、たとえば次のようなものがあります。
- 企業のWebサイト：事業内容、役員・社員の紹介、拠点、取引実績
- SNS：社員の投稿、イベント写真、採用情報、業務の様子
- YouTube・動画：オフィスや店舗の風景、インタビュー、画面の映り込み
- ニュース・官公庁の資料：企業の発表、行政資料、業界動向
- 求人情報：募集職種、業務内容、使用するシステムや技術
- 公開文書・資料：セミナー資料、PDF、製品情報、公開された技術文書
公安調査庁も、OSINTを公開情報の活用として紹介しており、AIやSNSの普及によって注目される分野の一つとしています。（参考：公安調査庁）
検索するだけでなく、「組み合わせて判断する」
OSINTのポイントは、情報を見つけて終わりにしないことです。たとえば、自社に関する公開情報を検索し、次のような情報が見つかったとします。
- 採用ページに、情報システム担当者の名前が掲載されている
- 導入事例の記事に、利用中のクラウドサービスが書かれている
- SNSに、社内イベントの開催日が投稿されている
これらを整理すると、「いつ、誰が、どのような業務に関わっているか」が推測しやすくなるかもしれません。情報を探すだけなら、通常の検索です。一方、目的を定めて情報を集め、信頼性を確認し、複数の情報をつなぎ合わせて判断に生かす。ここまで行うのが、OSINTの考え方です。
なお、漏えいしたID・パスワードがインターネット上で見つかったからといって、自由に取得・利用してよいわけではありません。情報の取得方法や利用目的には、法律、利用規約、プライバシーへの配慮が必要です。
なぜ今、企業がOSINTを知っておくべきなのか
サイバー攻撃というと、高度な技術でコンピューターの防御を突破するイメージを持つ方も多いかもしれません。もちろん、ソフトウェアの脆弱性を狙う攻撃は深刻です。一方で、攻撃者は人の行動や組織の仕組みも狙います。
たとえば、公開情報を使って相手の立場や業務内容を調べたうえで、次のような連絡を送るケースです。
「先日の展示会でお話しした件で、資料をお送りします」
「システム担当の〇〇です。アカウントの確認をお願いします」
「取引先から請求書の送付先が変更になりました」
会社名や担当者名、実際のイベント名が入っていると、無差別に送られる不審なメールよりも本物らしく感じられます。
このように、人の心理や信頼関係を利用して情報を聞き出したり、操作を促したりする手法をソーシャルエンジニアリングと呼びます。OSINTそのものが攻撃なのではありません。問題になるのは、公開情報を悪用して相手を信用させ、認証情報の窃取や不正操作につなげることです。
日本企業への攻撃も深刻化している
2025年9月に発生したアサヒグループへのサイバー攻撃では、グループ内拠点のネットワーク機器を経由して内部ネットワークに侵入され、一部の従業員用端末のデータ流出が確認されました。
同社は2026年7月、データセンターのサーバー内に保管されていた個人情報について、外部流出の事実は確認されていないとする一方、漏えいのおそれを完全には否定できない情報の範囲を改めて整理しています。（参考：アサヒグループ）
この事例について、同社の公表資料から攻撃者がOSINTを利用したとは確認できません。ただ、企業が自社の公開情報だけでなく、インターネットにつながる機器や、社外から見えるシステムの管理状態も把握しておく必要性を考えるうえで、重要な事例です。
海外事例①：ホテル大手MGMを襲ったサイバー攻撃
2023年9月、米国のホテル・カジノ大手、MGM Resorts Internationalはサイバー攻撃を受け、複数のシステムが影響を受けました。
同社は、顧客情報の一部が不正に取得されたことを公表しています。対象となった情報には氏名や連絡先などが含まれ、限られた顧客については社会保障番号やパスポート番号も含まれていました。（参考：MGMのSEC提出資料）
この事件をめぐっては、攻撃者がビジネス向けSNS「LinkedIn」で社員を調べ、その社員になりすましてヘルプデスクに電話した、という情報が報じられています。ただし、この具体的な経路は、攻撃者側の説明などをもとにした報道が中心です。MGMの公表資料が「LinkedInを使った」と確認しているわけではありません。 （参考：SecurityWeek）
この事例から考えたいこと
仮に攻撃者が社員の公開プロフィールを調べていたとしても、社員がSNSに名前や勤務先を載せること自体が問題なのではありません。問題となるのは、公開情報だけで本人だと判断し、パスワードの再設定などに応じてしまう認証手続きです。
米国のFBIとCISA（サイバーセキュリティ・インフラセキュリティ庁）は、攻撃グループ「Scattered Spider」の手口として、ITヘルプデスクに電話し、パスワードや多要素認証のリセットを促す手法などを注意喚起しています。（参考：FBI・CISA）
社員の名前や部署が知られていることを前提にしても、第三者が簡単に本人になりすませない仕組みが必要です。
- パスワードや多要素認証をリセットする際の本人確認を強化する
- 電話を受けた担当者だけの判断で、重要な変更を完了できないようにする
- 登録済みの連絡先を使うなど、別の経路でも本人確認する
- 特権アカウントの権限や利用状況を定期的に確認する
「社員が不審な連絡を見抜く」だけに頼らず、組織の手続きで被害を防ぐことが重要です。
海外事例②：委託先を狙われたCaesars Entertainment
同じく2023年、米国のカジノ・ホテル運営企業Caesars Entertainmentも、サイバー攻撃による情報流出を公表しました。
同社の説明によると、攻撃は同社が利用する外部委託先のITサポート事業者に対するソーシャルエンジニアリングから発生しました。調査の結果、会員向けプログラムのデータベースのコピーが取得され、その中には多数の会員の運転免許証番号や社会保障番号が含まれていました。（参考：AP通信）
この事例も、公開情報の利用を原因と断定できるものではありません。しかし、企業が守るべき対象は自社の社員や社内システムだけではないことを示しています。
委託先との「つながり」も攻撃対象になる
企業は日常的に、Webサイトの制作・保守会社、ECサイトの運営会社、システムの開発会社、動画制作会社、広告代理店、カスタマーサポートの委託先など、さまざまな外部パートナーと仕事をしています。
こうした連携は事業に欠かせません。一方で、委託先に付与したアカウントや権限が過剰なまま残っていると、そこが攻撃の足がかりになる可能性があります。
たとえばWebサイトの制作が完了した後も、担当者が管理者権限を持ち続けていないか。退職した担当者のアカウントが残っていないか。外からどんなつながりが見えるかを確認すると同時に、実際にどの権限が必要なのかを見直すことが大切です。
「日本は世界よりOSINTが遅れている」のか？
日本企業の情報漏えいが相次いでいることから、「日本ではOSINTへの理解が海外より遅れているのでは」と感じる方もいるかもしれません。
しかし、確認できた資料だけでは、日本のOSINTに関する理解度が世界全体より低いことや、それが情報漏えいの原因になっていることを、定量的に断定することはできません。 OSINTの認知度と、企業が実際にセキュリティ対策に活用しているかどうかは別の話でもあります。
一方で、企業が脅威に関する情報を収集・分析し、自社の対策に生かす取り組みには、国内でも課題があることが指摘されています。
IPA（情報処理推進機構）は2024年に「脅威インテリジェンス導入・運用ガイドライン」を公開しました。その中では、脅威インテリジェンスの導入・運用状況を海外と比較し、日本での活用が進まない理由を調査しています。（参考：IPA）
ここでいう脅威インテリジェンスとは、サイバー攻撃の手口や脆弱性などの情報を分析し、防御や経営判断に役立てることです。OSINTは、そのための情報を集める手段の一つになり得ます。
両者は同じ意味ではありませんが、共通するのは、情報を集めるだけで終わらせず、自社の行動につなげるという考え方です。日本が海外より一律に遅れていると決めつけるよりも、まずは「自社が情報をどのように集め、誰が判断し、どう対策しているか」を点検することが現実的でしょう。
公開情報は、どのように組み合わされるのか
ここからは、架空の例で考えてみます。ある企業が、次のような情報をそれぞれ公開していたとします。
- 採用ページ：情報システム部門の社員名と担当業務
- 取引先の導入事例：利用しているクラウドサービス
- YouTubeの社内紹介動画：オフィス内の会議室名やホワイトボード
- SNS：代表者がイベントに登壇する日程
一つひとつは採用活動や広報活動に必要な情報かもしれません。しかし、これらを組み合わせると、攻撃者が「誰に、どんな名目で、いつ連絡すれば信用されやすいか」を考える材料になる可能性があります。
たとえば、代表者の登壇日に合わせて、社員に対し「代表から急ぎで頼まれた」と装う連絡をする、といったことです。もちろん、情報が公開されているからといって、必ず被害が起きるわけではありません。
大切なのは、公開情報は社内の事情を知らない人にも組み合わせられると理解したうえで、公開する必要性と影響を確認することです。
Webサイト・YouTube・SNSで気をつけたい情報
LAUGHSが日頃支援しているWebサイト制作やYouTube運用でも、公開情報の管理は身近なテーマです。特に動画は、文章や写真よりも多くの情報が一度に映り込むことがあります。
① 動画や写真の背景に映り込む情報
撮影時には出演者や商品に目が向きがちですが、背景には次のようなものが映っている場合があります。
- 社員の氏名や連絡先が書かれたホワイトボード
- 顧客名や取引金額が表示された画面
- 入館証、社員証、鍵
- 業務予定や配送先が書かれた資料
- パソコンの通知や社内チャット
- 個人情報が記載された伝票や書類
たとえ画面の端に小さく映っていても、一時停止や拡大によって読める場合があります。撮影時に片付けるだけでなく、編集時にも拡大して確認することが大切です。
② PC画面や操作説明に映る情報
業務紹介やシステムの操作説明では、実際の画面を見せたくなることがあります。その際は、ログイン中のアカウント名、顧客や取引先の情報、社内専用のURL、通知に表示されたメッセージ、管理画面の詳細設定などに注意が必要です。
画面を見せる必要がある場合は、撮影専用のデモ環境や架空のデータを用意できると安心です。URLやアカウント名が映ったからといって直ちに侵入されるとは限りませんが、他の情報と組み合わされる可能性を考え、公開の必要性を確認しましょう。
③ 社員紹介や採用コンテンツの詳細
社員の顔や仕事ぶりが見えるコンテンツは、会社の雰囲気を伝えるうえで大きな価値があります。だからこそ、「情報を出さない」ではなく、目的に合った範囲で、本人と相談して公開することが大切です。
たとえば、氏名や部署を掲載する必要があるか、担当システムや権限まで説明する必要があるかを考えます。仕事内容の魅力やチームの雰囲気を伝えながら、公開する情報を選ぶことはできます。
④ PDFや資料に残る情報
会社案内やセミナー資料をPDFで公開するときも注意が必要です。本文には記載していなくても、ファイルによっては作成者名などの文書情報が含まれている場合があります。また、コメント、非表示の要素や編集履歴、黒く塗っただけで検索・コピー可能な文字が残ることもあります。
公開前に、本文だけでなく、ファイルのプロパティやコメント、非表示情報も確認しましょう。情報を確実に削除したい場合は、見た目を隠すだけでなく、利用するソフトの墨消し機能や文書検査機能などを使い、公開用ファイルを別に作成して確認することが大切です。
自社で始める「公開情報の棚卸し」5ステップ
専門的なツールを導入する前に、まずは自社について、外部から何が見えるかを確認してみましょう。
ステップ1：確認する目的を決める
最初から「自社に関する情報をすべて探す」のは現実的ではありません。採用ページや動画に不要な個人情報が映っていないか、古い問い合わせ先が残っていないか、公開資料に社外へ出す必要のない情報が含まれていないかなど、目的を絞ります。
外部から利用できる自社サービスの管理者が明確かを確認するのもよいでしょう。目的を決めることで、何を探し、どう対応するかを判断しやすくなります。
ステップ2：自社名やサービス名で検索する
正式な会社名・旧社名・略称、サービス名やブランド名で検索します。「採用」「資料」「導入事例」などを組み合わせ、自社が公開したPDFやイベント資料、過去の動画やSNS投稿も確認しましょう。
自社サイトだけでなく、取引先の導入事例、イベント主催者の記事、過去の求人ページなども確認対象です。
ステップ3：動画・画像・公開資料を確認する
最新のコンテンツだけでなく、過去の投稿も確認します。事務所移転やシステム変更、組織変更の前に作られたものは、現在の管理状況と合わなくなっている可能性があります。
一度にすべて確認するのが難しい場合は、閲覧数が多い動画や、オフィス・管理画面が映る動画から優先するとよいでしょう。
ステップ4：見つけた情報を評価する
見つけた情報を、すぐにすべて削除する必要はありません。採用や顧客への説明に必要か、個人情報や認証に使える情報が含まれていないか、内容が古くないか、他の情報と組み合わせると影響が大きくならないかを整理します。
更新・削除を誰が判断し、実行できるかも確認します。自社サイトで修正できる情報と、取引先や外部メディアに相談が必要な情報も分けておきましょう。
ステップ5：対応し、定期的に見直す
対応方法は、削除だけではありません。
- 個人名を部署名に変更する
- 動画の一部をぼかす、または差し替える
- 資料を公開用に作り直す
- 古い情報を現在の内容に更新する
- 公開する情報は残しつつ、認証や社内手続きを強化する
一度棚卸しをしても、新しい投稿や資料は増え続けます。まずは四半期に一度など、無理のない頻度で見直すところから始め、重要なサービスや情報は必要に応じて確認頻度を上げていくとよいでしょう。
OSINTだけでは防げない。基本的なセキュリティ対策も必要
公開情報を把握することは大切ですが、それだけで情報漏えいを防げるわけではありません。
Verizonの2026年版データ漏えい／侵害調査報告書では、分析対象となった情報漏えい・侵害のうち、31％がソフトウェアの脆弱性を侵入経路としていたと報告されています。これは同報告書で集計された事例の傾向であり、日本企業全体の発生割合を示す数字ではありません。（参考：Verizon Japan）
OSINTの視点に加えて、次のような基本対策を組み合わせることが重要です。
- 多要素認証の導入：パスワードだけに頼らず、重要なアカウントではフィッシングに強い認証方式も検討する
- ソフトウェアや機器の更新：脆弱性に関する情報を確認し、優先順位をつけて修正する
- アカウントと権限の整理：退職者や契約終了した委託先のアカウントを確認する
- バックアップと復旧訓練：取得するだけでなく、実際に復旧できるかを確認する
- 本人確認の手続き：電話やメールでのパスワード再設定、振込先変更などの確認方法を決める
- 相談・報告の窓口：怪しい連絡を受けた社員が、迷わず相談できるようにする
担当者が少ない中小企業では、すべてを自社だけで実施するのが難しい場合もあります。Web制作会社、システム保守会社、セキュリティの専門家などと、担当範囲を明確にしながら進めることが大切です。
不審な公開を見つけた場合は？
公開する予定のなかった個人情報や認証情報が見つかった場合は、社内の担当者に速やかに連絡し、影響範囲を確認しましょう。
パスワードやAPIキーなどが公開されていた場合は、公開ページを削除するだけでなく、該当する認証情報の無効化・再発行や利用履歴の確認も必要です。個人情報の漏えいが疑われる場合は、事実関係を確認したうえで、必要に応じて専門家へ相談し、個人情報保護委員会への報告や本人への通知などの要否を判断します。
情報を隠すのではなく、「伝え方」を設計する
企業にとって、情報発信は事業を成長させるための大切な活動です。社員の表情が見える採用動画も、工場の製造工程を紹介するコンテンツも、企業への信頼や理解を深めてくれます。
だからこそ、セキュリティを理由に発信を一律に止めるのではなく、何を、誰に、どこまで伝えるかを設計することが求められます。
たとえば、撮影前に映してはいけないものを共有する。画面を使うシーンはデモ環境を用意する。公開前に広報担当者と情報システム担当者が、それぞれの視点で確認する。こうしたひと手間が、発信の価値を保ちながら、不要なリスクを減らすことにつながります。
OSINTを知ることは、「ネットに何も出さない」ためではありません。自社の情報が外からどう見えるかを理解し、安心して発信を続けるための第一歩です。
参考資料
